Zgłoszenie naruszenia RODO krok po kroku: wyciek z programu do faktur

Mail od dostawcy programu do faktur przychodzi na adres przypisany do konta. W małej firmie bywa to skrzynka osoby, która wystawia faktury i prowadzi biuro, a nie właściciela. W środku: włamanie do systemu dostawcy i skopiowane dane klientów, także Twoich.

Od tej chwili biegnie termin na zgłoszenie naruszenia RODO do Urzędu Ochrony Danych Osobowych (UODO). Poniżej masz to, co robisz po kolei: w pierwszej godzinie, w pierwszym dniu i po złożeniu formularza.

Pierwsza godzina: zapisz, kiedy i na jaki adres przyszło zawiadomienie

Zanim zaczniesz cokolwiek sprawdzać, zanotuj datę, godzinę i adres e-mail, na który przyszło zawiadomienie, i zrób zrzut ekranu albo zapisz wiadomość jako plik. Od tej chwili liczysz 72 godziny na zgłoszenie naruszenia RODO. To termin maksymalny, bo zasadą jest zgłoszenie bez zbędnej zwłoki (art. 33 ust. 1 RODO).

Dlaczego od maila, skoro włamanie było wcześniej? Dostawca programu przetwarza dane Twoich klientów w Twoim imieniu, a RODO każe mu zawiadomić Cię bez zbędnej zwłoki (art. 33 ust. 2 RODO). Europejska Rada Ochrony Danych (EROD) przyjmuje, że w takim układzie dowiadujesz się o naruszeniu zasadniczo wtedy, gdy dostawca Cię o nim poinformuje (wytyczne 9/2022, pkt 44).

Jeśli dostawca już kilka dni wcześniej ogłosił włamanie, a Ty o tym wiedziałeś, sprawdź od razu, czy dotyczy ono Ciebie, nie czekając na maila. Takie sprawdzenie ma być krótkie, a termin rusza, gdy masz dostateczną pewność, że naruszenie objęło dane, za które odpowiadasz (wytyczne 9/2022, pkt 31 i 34). W razie wątpliwości licz od wcześniejszej daty.

Czy 72 godziny biegną w weekend?

Tak. To godziny zegarowe, nie dni robocze: unijne zasady liczenia terminów wliczają soboty, niedziele i święta (rozporządzenie nr 1182/71, art. 3 ust. 3). Mail, który przyszedł w środę o 19:40, daje Ci czas do soboty do 19:40, a nie do poniedziałku.

Komu przekazać sprawę?

Zgłoszenie składa firma jako administrator danych, więc decyzja należy do właściciela albo zarządu. Jeśli to Ty odebrałeś maila, przekaż go od razu osobie, która może podpisać zgłoszenie, i inspektorowi ochrony danych, jeśli firma go ma.

Tego samego dnia zmień hasła do konta w programie i wygeneruj nowe klucze API, czyli kody, przez które program łączy się z innymi systemami, na przykład ze sklepem internetowym.

Na przyszłość: żeby pracownik od faktur wiedział, że taki mail od razu idzie wyżej, omów to na szkoleniu, o którym piszemy we wpisie Szkolenie RODO obok BHP: jak często i jak dokumentować skuteczność.

Wyciek danych osobowych - co zrobić na koncie w programie do faktur?

Dostawca zwykle opisuje, które dane skopiowano, na przykład kontrahentów dodanych do jakiejś daty albo kwoty faktur bez nazw nabywców. Ten opis mówi, co wyciekło z całego systemu. Co wyciekło od Ciebie, ustalisz tylko na własnym koncie.

Przejdź po tych miejscach i przy każdym zapisz, czy są tam imiona, nazwiska, adresy, e-maile, telefony albo numery rachunków:

Porównaj to z zakresem podanym przez dostawcę. Jeśli plik powstał tuż przed granicą, którą wskazał, albo dostawca pisze, że skopiowano większość plików, zakładaj, że Twój też. EROD zaleca, żeby przy wątpliwościach zgłaszać naruszenie, nawet jeśli ta ostrożność okaże się później nadmierna (wytyczne 9/2022, pkt 119).

Czy klienci firmowi to też dane osobowe?

Częściowo. RODO chroni tylko ludzi, a dane spółek z o.o. i akcyjnych, w tym ich nazwa i firmowe dane kontaktowe, są spod niego wyłączone (motyw 14 RODO; motywy to objaśnienia na początku rozporządzenia). Na fakturach siedzą jednak różni klienci:

Przy JDG liczy się, co wyciekło obok nazwy. Prezes UODO w komunikacie z 5 października 2026 r., wydanym po incydentach w systemach fakturowych, wyjaśnia, że same dane z jawnego rejestru firm, czyli Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG): imię i nazwisko, nazwa firmy, NIP, adres działalności, zazwyczaj nie wymagają zgłoszenia.

Ryzyko pojawia się, gdy obok nich wypłynęły informacje finansowe. Urząd wprost wymienia przy nich oszustwa i przygotowywanie fałszywych faktur lub płatności. Moim zdaniem to przede wszystkim kwoty i terminy płatności, nieopłacone faktury i prywatne numery rachunków osób fizycznych.

Jak wypełnić formularz zgłoszenia naruszenia danych osobowych na biznes.gov.pl?

Zgłoszenie naruszenia danych osobowych składasz przez e-usługę na biznes.gov.pl i podpisujesz profilem zaufanym albo podpisem kwalifikowanym. Usługa jest bezpłatna. Formularz odwzorowuje wzór z formularzy UODO, więc możesz go wcześniej przejrzeć w pliku i przygotować odpowiedzi.

Zgłasza Twoja firma, nie dostawca, nawet jeśli to u niego było włamanie. Gdy nie znasz jeszcze wszystkich liczb, wybierz zgłoszenie wstępne i złóż je w terminie. RODO pozwala przekazywać informacje etapami (art. 33 ust. 4).

Brak dokładnej liczby osób nie jest powodem, żeby czekać. EROD pisze, że brak takich szczegółów nie powinien blokować terminowego zgłoszenia (wytyczne 9/2022, pkt 52). Lepiej podać przybliżenie i zapowiedzieć uzupełnienie niż przekroczyć termin.

Kto podpisuje zgłoszenie do UODO?

Osoba uprawniona do reprezentowania firmy: właściciel JDG, wspólnik spółki cywilnej albo jawnej uprawniony do reprezentacji albo członek zarządu spółki z o.o. lub akcyjnej, zgodnie z zasadami wpisanymi w Krajowym Rejestrze Sądowym (KRS). Przy reprezentacji łącznej wpisujesz w polu 2C wszystkie wymagane osoby i każda z nich podpisuje. Treść może przygotować ktoś inny, na przykład osoba z biura, ale podpisuje i wysyła właściciel albo zarząd.

Jeśli zgłoszenie podpisuje i wysyła ktoś spoza tych osób, na przykład inspektor ochrony danych, dołącza pełnomocnictwo w formie elektronicznej i potwierdzenie opłaty skarbowej (pole 2D formularza). Według opisu e-usługi ta opłata to 17 zł, płacona na konto urzędu miasta lub gminy właściwego dla miejsca zamieszkania albo siedziby tego, kto daje pełnomocnictwo. Pełnomocnictwo dla małżonka, dzieci, rodziców, dziadków, wnuków lub rodzeństwa jest zwolnione z opłaty.

Rejestr naruszeń: co wpisać, nawet gdy nie zgłaszasz

Każde naruszenie trafia do rejestru, także to, którego nie zgłaszasz (art. 33 ust. 5 RODO). Wpisujesz okoliczności, czyli przyczynę, przebieg i zakres danych, a także skutki i działania zaradcze. Formę wybierasz sam, więc rejestr naruszeń może być prostą tabelą, byle dało się go pokazać urzędowi (wytyczne 9/2022, pkt 123).

Gdy uznasz, że zgłoszenie nie jest potrzebne, w rejestrze musi być ocena ryzyka i powody tej decyzji. Przypomina o tym UODO we wspomnianym komunikacie, a EROD zaleca dokumentować uzasadnienie szczególnie wtedy, gdy nie zgłaszasz (wytyczne 9/2022, pkt 125). Dołącz do wpisu maila od dostawcy i notatkę, co sprawdziłeś na koncie.

Jak wygląda pismo z urzędu, gdy ten dopyta o zgłoszone naruszenie, i co wtedy przygotować, opisaliśmy we wpisie Pismo z UODO u pracodawcy: o co pyta urząd i jak odpowiedzieć.

Ostrzeż klientów przed fałszywą zmianą numeru konta

Oszust, który ma Twoje faktury, wie, kto ile Ci winien i do kiedy. Wystarczy mail podszyty pod Twoją firmę: „zmieniliśmy rachunek, prosimy o przelew na nowy”. Kwota i numer faktury się zgadzają, więc klient płaci… oszustowi.

Jeśli ryzyko dla osób fizycznych jest wysokie, RODO każe je zawiadomić bez zbędnej zwłoki (art. 34). Zwykle chodzi o klientów prywatnych, właścicieli JDG i wspólników spółek cywilnych, przy których wyciekły kwoty i terminy płatności, a osoby kontaktowe w spółkach oceń osobno. Spółkom z o.o. i akcyjnym zawiadomienie się nie należy, ale krótkie ostrzeżenie i tak warto wysłać, bo pieniądze, które przeleją na fałszywe konto, nie trafią do Ciebie.

W każdej wiadomości poproś, żeby zmianę numeru konta potwierdzali telefonicznie, pod numerem znanym ze współpracy. Wysyłaj ze zwykłej firmowej skrzynki, nie z programu, w którym było włamanie, bo z tego kanału może korzystać także atakujący (wytyczne 9/2022, pkt 92). Co dokładnie musi zawierać zawiadomienie i jak je wysłać, rozpisaliśmy we wpisie Wyciek danych osobowych z faktur: kogo zawiadomić, kogo ostrzec, co napisać.

Po zawiadomieniu osób fizycznych składasz zgłoszenie uzupełniające: formularz pyta o datę zawiadomienia, liczbę zawiadomionych osób i treść wiadomości bez danych konkretnych osób.

Najczęstsze pytania o zgłoszenie naruszenia RODO

Pamiętaj o kolejności

Najpierw godzina maila, potem konto i ocena, czyje dane wyciekły. Wstępne zgłoszenie naruszenia RODO w terminie jest lepsze niż pełne po terminie, a wpis w rejestrze robisz zawsze.

Procedurę na wypadek wycieku i wzór rejestru naruszeń najlepiej mieć gotowe, zanim przyjdzie taki mail. Przygotowujemy je w ramach dokumentacji RODO. A jeśli zawiadomienie już leży w Twojej skrzynce i nie wiesz, czy zgłaszać, napisz albo zadzwoń.